Menu

Gli impatti sulla continuità operativa del GDPR (General Data Protection Regulation)

L’emanazione imminente del GDPR avrà effetti importanti nella predisposizione di soluzioni della continuità operativa che interesserà tutti coloro che trattano dati personali.

di Giancarlo Butti

Giancarlo ButtiAlta affidabilità (alta dispo­nibilità), Disaster Recovery e Business Continuity esprimono concetti molto diversi fra loro, ma strettamente interconnessi, in quanto tutti orientati a garan­tire la continuità di un servizio.

Con queste parole iniziavo una serie di articoli apparsi su Toolnews e facilmente reperibili in rete nei quali davo una definizione di questi concetti spesso fra loro confusi. Ne riporto le definizioni che avevo adottate.

> Alta affidabilità: la capacità di un sistema di resistere a situazioni locali di guasto, tali da consentire la continuità nell’erogazione del servizio. Questo risultato si ottiene con accorgimenti tesi a ridurre le conseguenze della perdita, ad esempio, di un sin­golo componente di un Server (disco, alimentatore, scheda di rete….), di un Server completo, di un apparato di rete, di un intero locale CED.
Le soluzioni normalmente adottate si basano sulla dupli­cazione degli elementi e sulla predisposizione di infrastrut­ture in grado di contrastare i rischi più comuni (mancanza di alimentazione, incendio, allaga­mento….). Si va dalla semplice ridondanza dei componenti, fino alla replica di un intero gruppo di Server, o alla replica di interi locali CED collocandoli in posizioni tra loro più o meno geograficamente distanti.
La ridondanza può riguardare dischi, schede di rete, alimen­tatori, Server, Router ecc.. Può comprendere gli impianti di alimentazione, di rete, i sistemi di condizionamento e così via. La ridondanza si applica ovvia­mente anche agli apparati di rete e alle connessioni con la rete geografica, spesso rivol­gendosi ad operatori diversi. Il tutto commisurato ovviamente al risultato che si desidera otte­nere ed al rapporto fra i costi ed i benefici attesi.

> Disaster Recovery: ha la finalità di garantire la ripartenza dei servizi informatici dell’azienda in seguito all’accadere di un qualsiasi disastro - la definizione di disastro è arbitraria, avendo come unico punto di confluenza le situazioni che portano alla distruzione (o inagibilità) del sito primario. Tra la situazione estrema e quella di regolare erogazione dei servizi ci sono molti stadi intermedi, che andrebbero definiti e valutati a priori in modo da non lasciare incertezze o tempi morti nel far fronte ai casi di emergenza.

> Business Continuity: come il nome stesso porta ad intuire si occupa della continuità del business. Si tratta di un tema più ampio e complesso della semplice capacità di ripristinare il sistema informativo di un'azienda. E'ormai un elemento vitale per la sopravvivenza di qualsiasi azienda.

Perché ne riparliamo a distanza di qualche anno?
Semplice: è stato approvato il testo del GDPR, cioè del nuovo Regolamento UE sulla privacy e siamo in attesa della sua pubblicazione definitiva sulla Gazzetta Ufficiale. Da lì inizieranno a scorrere i 24 mesi che i Data Controller ed i Data Processor1 avranno per adeguarsi alle impegnative richieste della nuova normativa. Fra queste la non banale richiesta prevista dall’articolo 30 del GDPR che recita:

Articolo 30 Sicurezza del trattamento
1. Tenuto conto dello stato dell'arte e dei costi di attuazione, nonché della natura, del campo di applicazione, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il responsabile del trattamento e l'incaricato del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono tra l'altro, se del caso:
a) la pseudonimizzazione e la cifratura dei dati personali;
b) la capacità di assicurare la continua riservatezza, integrità, disponibilità e resilienza dei sistemi e dei servizi che trattano i dati personali;
c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati in caso di incidente fisico o tecnico;
d) una procedura per provare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.

Due richieste molto impegnative, che ben sono traducibili con i concetti di alta affidabilità e Disaster Recovery precedentemente citati.

La differenza con l’attuale normativa è rilevante, in quanto oggi il D.Lgs 196/03 si limita a chiedere nell’Allegato B tempi di ripristino nell’ordine di una settimana:

23. Sono adottate idonee misure per garantire il ripristino dell'accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni.

E’ quindi importante che chi tratta dati personali inizi sin da subito, fra le altre attività pianificate, a valutare quali azioni intraprendere per il rispetto di una normativa che prevede sanzioni stellari, (fino a 10 milioni di euro o il 2% del fatturato annuo mondiale, se superiore) per il mancato rispetto di questo specifico.

Ovviamente quali misure intraprendere sarà compito del Data Controller valutarle, in funzione di un bilanciamento fra costi e misure tecniche ed organizzative. Il concetto del bilanciamento è infatti ben richiamato sia nell’articolo 30, sia in altri articoli (ad esempio Articolo 23 Protezione dei dati fin dalla progettazione e protezione di default…)

Tenuto conto dello stato dell'arte e dei costi di attuazione, come farà a valutare un Data Controller se la propria soluzione è conforme ai requisiti del Regolamento ed è correttamente bilanciata?

Per questo specifico argomento possono essere un validissimo aiuto le LINEE GUIDA PER IL DISASTER RECOVERY DELLE PUBBLICHE AMMINISTRAZIONI.

Queste individuano soluzioni adatte alle più diverse situazioni riscontrabili nella PA, ma che sono facilmente mutuabili anche in altri ambiti.

Ultima modifica ilVenerdì, 01 Aprile 2016 15:16

Aggiungi commento


Codice di sicurezza
Aggiorna

Torna in alto